特集
2004/03/01 00:00:00 更新


内部情報漏えいを起こさないための基礎 (2/2)


 よく見かける例としては、「共有フォルダ」の活用が挙げられる。共有フォルダは、ユーザー、グループ単位でアクセスを限定できる。また、OSに標準搭載されており、設定も簡単でよく使われる。しかしその反面、アクセス権限が与えられていれば、複写が可能となる。このため、正規ユーザー権限を所有する社員が共有フォルダにあるファイルをノートPCへ複写したら、共有フォルダによる漏えい防止策は意味をなさない。

 誤った情報漏えい対策に失敗しないためには、最初に「情報の洗い出し」を行う必要がある。具体的には、取り扱う情報の中から漏えいを防がなければならない情報を決定する。そして、所有者や利用者の目的を明らかしておくと、漏えいを防止する手段を選ぶときに役に立つ。ここで給与に関する情報の洗い出しを行った例を紹介しよう(表1)。

表1■給与に関する情報の洗い出し
ファイルの名称情報漏えい保護対象経理担当(作成者)社員A(利用者)社員B(利用者)
Aの給与明細対象書き込み許可、読み込み許可書き込み禁止、読み込み許可書き込み禁止、読み込み禁止
Bの給与明細対象書き込み許可、読み込み許可書き込み禁止、読み込み禁止書き込み禁止、読み込み許可
お知らせ対象外書き込み許可、読み込み許可書き込み禁止、読み込み許可書き込み禁止、読み込み許可

 最初に、取り扱うすべてのファイルを列挙する(ここでは3つ)。続いて、所有者(作成者)や利用者(アクセスを許されている者)を明らかにする。ここまでが「情報の洗い出し」作業である。これにより、給与明細は本人に限ってアクセス(読み込み)を許可するが、「お知らせ」に対するアクセスは限定しない。そこで、給与に関する3個のファイルのうち、「Aの給与明細」と「Bの給与明細」が情報漏えい対策の対象となる。実際には、企業にある全ての情報を洗い出すには膨大な時間がかかる。

 そこで部署単位、または社内規定(文書取り扱い規定)を参考に分類する。文書取り扱い規定に、機密性分類(「機密」「秘密」「公開」)、可用性分類(「プロジェクト限定」「部署限」「社内限」)があると、情報の洗い出しが楽になる。

 情報の洗い出しによって、保護すべき対象や目的が明らかになったら、「情報漏えいを防止する手段の選択」である。ここで大切な事は、より多くの防止方法を集めてその中から選ぶことである。ここでは代表的な情報漏えいを防止する手段として、「暗号化」「アクセス制御」「認証方式」を紹介する。その中の1つを選択するのではなく、適宜組み合わせて情報漏えいを防ぐことが望ましい。

・暗号化

 機密性を確保する上で暗号技術は欠かせない。暗号を使った製品やサービスは非常に多く、ファイル1個からフォルダ単位、ディスク単位まで、暗号化することができる。また、対象となる情報が移動しているネットワークの通信経路だけに機密性を持たせ、情報漏えいを防ぐVPNといった方法もその一つだ。しかし、暗号化にはメリットだけでなく、暗号化によるデメリットも存在することを理解しておく必要がある。まず、暗号化された情報は中身を確認できないので、悪用されると機密情報が漏えいしたことを見つけることができない。次にパスワードを忘れたことによって元の情報に戻せなくなる可能性もある。

・アクセス制御

 例として紹介した共有フォルダは、OSレベルで提供されているアクセス制御を実現している。多くのシステムでは、個人の識別をユーザーIDで行い、部署や役職などの単位ではグループ作ってアクセス制御を行っている。ここで大切なことは、企業で採用されている機密文書に対する取り扱い指針と、システム上で実現する漏えい防止の手段に乖離がないことである。アクセス制御を実現するシステムに企業が振り回され、業務に支障がないようにしておく必要もある。最近では、アークンの「DataClasys」のようにウィザード形式による情報管理基準を生成する一方で、権限の設定と同期をとる製品も登場している(画面1)。

DataClasys

画面1■DataClasysは暗号の複合ポリシーを極秘、社外秘などの機密区分、さらに職務区分、組織区分で分類。情報管理基準(機密区分ポリシー)を生成できる

・認証方式

 漏えいしたファイルの中身が判らないのが暗号化であるのに対して、認証方式は、暗号技術と組み合わせファイルにアクセスする者が確かに本人であることを認証して、情報漏えいを防止させる手段である。一般に認証局もしくは認証サーバによって、本人であることを証明する。機密情報を利用する者を事前に登録しておけば、アクセス制御が可能。認証が許可されていない第三者が漏えいした情報の内容を知ることはできず、機密性が保たれる仕組みだ。認証方式による身近な情報漏えい対策製品としては、「Microsoft Office 2003」に搭載されているIRM(Information Rights Management)機能がある(画面2)。

IRM

画面2■IRM機能を使えば、作成したドキュメントに対する閲覧権限と、変更権限に許可した電子メールアドレスを追加できる

 そのほかにも、日立ソフトウェアエンジニアリングの「秘文」や三菱商事の「ReEncryption nxt」などが、情報漏えい対策製品として知られている。

マネジメントの視点を反映できるシステムを

 情報漏えいに関するトラブルを減らすには、情報漏えいを防止する仕組みが求められる。例えば、アドビの「Acrobat」が生成するPDFファイルにはセキュリティに関する設定として、印刷や内容の変更を防ぐ機能などがある。PDFファイルは、閲覧という明確な目的があり、情報漏えいの抑止に役立っている。しかし、これは閲覧文書を作成する側視点に立つ技術的なアプローチである。これからは、マネジメントの視点からカバーできるシステムが必要となるだろう。

 最近は、情報漏えい、不正アクセスなどのインシデント増加により、顧客や株主からは経営者にセキュリティ態勢を問うケースが増えた。「あなたの会社は大丈夫?」「どのような対策をしているのか?」――。このような質問に、情報システムの担当者が直接回答することがいいのだろうか。そもそも、質問者が情報技術の専門知識を持たないために理解してもらえない。セキュリティ対策の詳細を公表すれば、その情報が悪用されるかもしれない。そこで認定制度として確立されているISMS(情報セキュリティマネジメントシステム)の認証基準を満たしていることを説明する企業が増えてきた。企業、大学、自治体など現在約300事業所がISMSの認証を取得している。

 もし企業がISMS認証やBS7799などといったセキュリティポリシー認証の取得を目指すなら、規定文書とシステムとの一致は助かるはずだ。文書管理規定、機密情報管理方針をシステムに反映できれば、情報の機密分類に基づいて自動的にアクセス権限が付与されるかもしれない。これは電子文書を作成する者にとっては、機密性への認識を高める効果が出てくる。

 ただ注意しなければならないのは、ISMS認証取得すれば情報漏えいが起きない保証はないという点だ。財団法人日本情報処理開発協会(JIPDEC)のWebサイトには、ISMS認証取得事業者一覧が公開されている。しかし、ISMS認証取得した登録範囲は、一部の部署、業務に限定されている。取得事業者の中には、取得範囲すら非公開にしている企業も多い。このため登録範囲外では、ISMS認証基準を満たしていないケースが目立ってきている傾向がある。

 ISMS認証取得している企業は、取得していない企業よりもインシデントの数は圧倒的に少ない。その根拠として、専門スキルを有するISMS審査員が客観的な立場で定期的に審査し、問題個所を指摘し、是正を求める仕組みが挙げられる。だが、ISMS認証取得した企業であれば、マネジメントの仕組みは完成されているが、情報漏えいを阻止できるという保証はしていないと考えておく必要がある。ISMS認証取得は対外的なアピールには有効ではあるが、企業の中には「実を取るケース」(実効性の高いセキュリティ対策)もある。そのような企業では、情報システムの管理指針は明確にして、身近なセキュリティ対策で妥協していない。

関連記事
▼人間系に頼らず、システムで強制的に防ぐ---内部セキュリティのアークン
▼富士通、災害、トラブル時の危機管理を支援する「安全対策ソリューション」を提供
▼Windowsにおける情報漏えい防止のため2社が共同で製品開発へ
▼NTT-AT、内部情報の漏えいを監視、防止するサービスを開始
▼情報漏えいを防ぐOffice SystemのIRM
▼ANTとセンドメール、電子メールの情報漏えい防止・監査ツールを販売開始
▼リスクを数字の形で経営者に伝える
▼いつ導入するのか、どこまで制限をかけるのか――企業と情報漏えいの切実な関係

関連リンク
▼JIPDEC

前のページ | 1 2 |      

[佐藤隆,ITmedia]

Copyright © ITmedia, Inc. All Rights Reserved.